[发明专利]一种基于信息增益和共现矩阵的恶意代码可视化方法

权利要求书

1.一种基于信息增益和共现矩阵的恶意代码可视化方法，其特征在于，包括以下步骤：

S1、对静态恶意代码二进制文件进行反编译获取汇编文件，再从汇编文件中提取出每个样本的操作码序列，统计得到全部样本的操作码序列集；

S2、对每个样本按照全部样本的操作码序列集进行词频统计，再结合样本的类别，计算出的每个操作码的信息增益；对计算出的信息增益进行降序排列，筛选出前32个操作码子集作为特征；根据提取的操作码子集对步骤S1提取的每个样本操作码序列进行筛选，若当前操作码在子集内，则保留，否则删去，得到筛选后的操作码序列；

S3、设置滑动窗口长度，将滑动窗口在每个样本筛选后的操作码序列上滑动，统计相邻两个操作码的序列对，将各个操作码的序列对组成集合，再根据序列对集合生成每个样本的共现矩阵；所有样本处理结束形成共现矩阵集；

S4、对共现矩阵集的每个矩阵进行MaxAbs标准化和像素映射预处理，将预处理完的共现矩阵保存为单通道图像，图像尺寸为(32，32)；

S5、将获得的可视化图像以及所属的类别作为深度学习模型的训练数据集，再利用训练好的深度学习模型对恶意代码样本进行检测。

2.根据权利要求1所述的基于信息增益和共现矩阵的恶意代码可视化方法，其特征在于，步骤S1的具体过程为：

S11、采用反编译工具IDA Pro对静态恶意代码二进制文件进行反编译，生成ASM编译文件；

S12、利用正则表达式分别从每个ASM编译文件样本的每行中提取操作码；

S13、提取出样本的全部操作码，并按顺序排列形成每个样本操作码序列s＝{mov,pub,add,…}；

S14、提取出全部样本的操作码序列，形成样本操作码序列集S＝{s₁,s₂,…s_n}，n为样本数量。

3.根据权利要求1所述的基于信息增益和共现矩阵的恶意代码可视化方法，其特征在于，步骤S2的具体过程为：

S21、将所有的操作码序列提取的操作码词典作为特征，然后分别计算出每个样本操作码序列中的操作码词频，将操作码词频作为特征取值；

S22、分别计算出操作码词典中每个操作码词频的信息增益；

S23、将处理后的结果按信息熵的大小进行降序排列，筛选出前32个操作码作为特征词典M＝{a₁,a₂,…,a₃₂}，a_i为操作码；

S24、遍历操作码序列集S的每一个序列S_i，若S_ij∈M，则保留，否则删去，S_ij代表第i个样本的第j个操作码。

4.根据权利要求3所述的基于信息增益和共现矩阵的恶意代码可视化方法，其特征在于，步骤S22操作码的信息增益的计算过程如下：

(1)设训练集为D，其中|D表示为样本集容量，即样本个数，设有K个类C_k,k＝1,2,…,K，|C_k|为属于类C_k的样本个数，计算数据集D的经验熵H(D)：

(2)设某一个操作码特征A有n个不同的取值{a₁,a₂,…,a_n}，根据A的取值将D划分为n个子集D₁，D₂，…，D_n，|D_i|为D_i的样本个数，记子集D_i中属于类C_k的样本的集合为D_ik，即D_ik＝D_i∩C_k，|D_ik|为样本D_ik的个数，计算操作码特征A对数据集D的经验条件熵H(D|A)：

(3)计算信息增益：

g(D,A)＝H(D)-H(D|A)

按照上述方法逐步计算每个操作码的信息增益。